/32 ana makine yolu VPN uç noktasını neden erişilebilir tutar

Ana makine yolu bir alt ağ değil, tek bir adres seçer. Tünel uç noktasını erişilebilir tutabilir veya tek bir kaynağı sabitleyebilir, ancak adresler değiştikçe eskir.

Bağlandıktan sonra yönlendirme tablosunu açarsınız ve tek bir adresin tünelden geçtiğini, çevresindeki alt ağın ise hâlâ yerel ağ geçidine gittiğini görürsünüz. O girdi bir ana makine yoludur: tek bir adres, hepsi birlerden oluşan bir önekle eşleşir. Bu önemlidir çünkü yönlendirme kararları en uzun eşleşen öneki kullanır, böylece bir /32, ikisinden hiçbirini değiştirmeden bir /24'ü veya varsayılan rotayı geçersiz kılabilir. Bunun dikkatli bir istisna mı yoksa gelecekteki bir kesinti mi olduğu, hangi adresi adlandırdığına ve onu kimin sürdürdüğüne bağlıdır.

Tek adres, tabloda tek girdi

Bir IPv4 ana makine yolu /32 öneki taşır ve bir IPv6 ana makine yolu /128 taşır; bu, girdinin tam olarak tek bir hedef adresle eşleşebileceği anlamına gelir. Tablodaki başka hiçbir şey hareket etmez: kapsayan alt ağ ve varsayılan rota oldukları yerde kalır. Dar girdi o adres için kazanır çünkü öneki daha uzundur, sonradan eklendiği için değil.

Bu özellik ana makine yolunu iyi bir istisna ve kötü bir alışkanlık yapar. Bir hizmetin ön kapısını adlandıran iki /32 girdisi onun ikinci adresini, IPv6 adresini veya gelecek ay taşınacağı adresi kapsamaz. Açıklanmamış tek adres girdileriyle dolu bir tablo genellikle birinin bir alt ağ kararı vermek yerine çevresini yamamaya devam ettiği anlamına gelir. Önce önek uzunluğunu okuyun, sonra girdinin neyi koruması gerektiğini sorun.

Girdiyi istemciden dışarı doğru okuyun

Sorunlu makineden başlayın, çünkü aynı adres bir dizüstü bilgisayarda ve önündeki ağ geçidinde farklı yönlendirilebilir. Tabloyu yukarıdan okumak yerine çekirdeğe uygulamanın kullandığı tam adres için hangi yolu seçeceğini sorun. Yanıt arayüzü ve sonraki atlamayı içerir; bunlar birlikte karardır.

ip route get 203.0.113.25
ip -6 route get 2001:db8:4::25
ip route show | grep -F 203.0.113.25
Find-NetRoute -RemoteIPAddress 203.0.113.25

Sorguyu uygulamanın gerçekten seçtiği adres ailesi için tekrarlayın, çünkü bir istemci IPv6'yı tercih edip bir IPv4 istisnasını sessizce atlayabilir. Sonucu tünel açılmadan önce ve sonra karşılaştırın ve iki çıktıyı da saklayın. Bu karşılaştırma, istemcinin girdiyi bağlanırken mi eklediğini yoksa zaten orada mı olduğunu gösterir.

Kalıcı bir girdi ile çalışma zamanı girdisi farklı şekilde başarısız olur. Çalışma zamanı girdisi oturumla birlikte kaybolur, kalıcı olan ise yeniden başlatmayı atlatır ve artık var olmayan bir ağ geçidine trafik göndermeye devam eder.

Uç nokta istisnası ve özyineleme tuzağı

VPN istemcileri genellikle varsayılan rotayı değiştirmeden önce özgün ağ geçidi üzerinden sunucunun dış adresine bir ana makine yolu kurar. O girdi olmadan şifreli paketler kurmaya çalıştıkları tünelin içine gönderilirdi ve bağlantı zaman aşımına uğrayana kadar döngüde kalırdı.

Tuzak, tünelin kabul edilen alt ağları o uç nokta adresini tesadüfen içerdiğinde veya ikinci bir profil sonradan daha geniş bir rota eklediğinde ortaya çıkar. O zaman uç nokta girdisi daha uzun bir öneke yenilir ve oturum trafik geçirmeye başladığı anda çöker. Uç nokta adresini kabul edilen alt ağların yanına yazmak, çakışmayı kullanıcılardan önce fark etmenin en ucuz yoludur. Aynı profilin bir ağdan çalışıp diğerinden neden başarısız olduğunu da açıklar.

Uygulamanın gerçekten kullandığı yolu doğrulayın

Uygulama farklı bir adrese veya farklı bir aileye bağlandığında ana makine adına başarılı bir ping zayıf kanıttır. İstemciyi çalıştıran makineden adres, aile, bağlantı noktası ve arayüzün tam kombinasyonunu doğrulayın.

ip route get 203.0.113.25
sudo nft list ruleset | grep -A 4 'chain output'
curl -sS --max-time 8 -o /dev/null -w '%{remote_ip}
' https://app.example.net

Yol yanlışsa, herhangi bir şeyi düzenlemeden önce gereksinimin bir ağ mı yoksa tek bir adres mi olduğuna karar verin. Tek adres gereksinimi, yorum ve sahip içeren bir ana makine yolunu haklı çıkarır; dönen adresleri olan bir hizmet, alan adı tabanlı yönlendirme veya dürüst bir alt ağ kararı gerektirir.

Artık gerçek bir hedefe karşılık gelmeyen girdileri kaldırın ve tuttuklarınızı not edin. Açıklanmamış bir /32 üç ay sonra bir hatadan ayırt edilemez ve bir sonraki kişi neyin ona bağlı olduğunu bilmeden onu siler.

İlgili makaleler